CVE-2026-82600
WysokieCVSS 7.3Streszczenie
Podatność w SeaCMS do wersji 13.6 w pliku /zyapi.php?ac=videolist pozwala na wstrzyknięcie SQL przez argument ids. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, co może prowadzić do wycieku danych, modyfikacji lub usunięcia danych.
Rekomendacja
Zaleca się aktualizację SeaCMS do nowszej wersji, która zawiera poprawkę, lub zastosowanie odpowiednich filtrów na argumencie ids.
Inne podatności w SeaCMS
Zobacz wszystkie- CVE-2026-82603Średnie
W SeaCMS do wersji 13.6 wykryto podatność na path traversal w pliku /member.php?action=del_pl w komponencie Comment Cache. Manipulacja argumentami itype/vid umożliwia zdalny atak. Exploit jest publiczny.
- CVE-2026-82602Średnie
W SeaCMS do wersji 13.6 wykryto podatność na obejście autoryzacji w pliku /ass.php. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
- CVE-2026-82601Średnie
W SeaCMS do wersji 13.6 wykryto podatność na cross-site scripting (XSS) w pliku /err.php. Manipulacja argumentem errtxt umożliwia zdalny atak. Exploit jest publicznie dostępny.
- CVE-2026-82599Średnie
W SeaCMS do wersji 13.6 wykryto podatność na path traversal w funkcji unlink w pliku /member.php?action=chgpwdsubmit w komponencie Avatar Upload. Manipulacja argumentem oldpic umożliwia zdalny atak. Exploit jest publicznie dostępny.
- CVE-2026-82598Wysokie
Podatność w SeaCMS do wersji 13.6 w funkcji parseIf pliku search.php komponentu Template Engine pozwala na wstrzyknięcie kodu przez argument searchtype. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2017-17561Wysokie
SeaCMS w wersji 6.56 pozwala zdalnie uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP poprzez spreparowane pole token w pliku admin/admin_ping.php, które współdziała z data/admin/ping.php.
- CVE-2024-54879Krytyczne
SeaCMS V13.1 zawiera podatność związaną z nieprawidłową kontrolą dostępu. Błąd logiczny umożliwia atakującemu dowolne, nieograniczone doładowywanie kont członkowskich.
- CVE-2023-46010Krytyczne
W SeaCMS w wersji 12.9 wykryto podatność w komponencie admin_safe.php, która umożliwia atakującemu zdalne wykonanie dowolnych poleceń systemowych.
- CVE-2025-50592Średnie
W systemie SeaCMS przed wersją 13.2 wykryto podatność na atak typu Cross-Site Scripting (XSS) poprzez parametr 'vid' w skrypcie Upload/js/player/dmplayer/player. Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.
- CVE-2025-25813Średnie
W SeaCMS w wersji 13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_files.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in SeaCMS up to 13.6. Affected by this issue is some unknown functionality of the file /zyapi.php?ac=videolist. Performing a manipulation of the argument ids results in sql injection. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks.